(57)【要約】【課題】制御ネットワークに接続される機器の安全かつ自律的なセットアップを実現するためのネットワーク情報設定方法、ネットワークシステム、ならびに通信端末装置を提供すること【解決手段】鍵情報を記憶する第１のサーバと、属性情報を記憶する第２のサーバとが接続された制御ネットワークに通信端末装置が接続されたとき、通信端末装置の属性情報を第２のサーバに初期設定するネットワーク情報設定方法であって、第２のサーバとの間のセキュリティ通信に必要な鍵情報を第１のサーバから取得し、該鍵情報を用いたセキュリティ通信により、少なくとも通信端末装置の識別子およびネットワークアドレスを含む属性情報を第２のサーバに送信する。【選択図】図１
2005135032.tif 000002
【特許請求の範囲】
【請求項１】
鍵情報を記憶する第１のサーバと、属性情報を記憶する第２のサーバとが接続された制御ネットワークに通信端末装置が接続されたとき、該通信端末装置の属性情報を前記第２のサーバに記憶するネットワーク情報設定方法であって、
前記通信端末装置は、
前記第１のサーバを発見するステップと、
前記第１のサーバとの相互認証を行うステップと、
前記相互認証に成功した第１のサーバから前記第２のサーバの情報と、前記第２のサーバとの間のセキュリティ通信に必要な鍵情報とを前記第１のサーバから取得するステップと、
前記鍵情報を用いたセキュリティ通信により、少なくとも前記通信端末装置の識別子およびネットワークアドレスを含む属性情報を前記第２のサーバに送信するステップとを有し、
前記第２のサーバは、
該セキュリティ通信を介して受信した属性情報を前記通信端末装置の属性情報として記憶するステップと、
他の通信端末装置が前記第１のサーバから取得した、前記第２のサーバとの間のセキュリティ通信に必要な鍵情報を用いた該他の通信端末装置とのセキュリティ通信を介して前記通信端末装置の識別子に関する問合せがあった場合は、該他の通信端末装置に対して前記通信端末装置の属性情報を送信するステップと
を有することを特徴とするネットワーク情報設定方法。
【請求項２】
ＤＨＣＰサービスに従って前記第１のサーバを発見することを特徴とする請求項１に記載のネットワーク情報設定方法。
【請求項３】
マルチキャストサービスに従って前記第１のサーバを発見することを特徴とする請求項１に記載のネットワーク情報設定方法。
【請求項４】
前記第１のサーバはケルベロスの鍵管理サーバを含むことを特徴とする請求項１乃至３のいずれかに記載のネットワーク情報設定方法。
【請求項５】
前記通信端末装置および前記他の通信端末装置のそれぞれに対応する識別子はケルベロスのプリンシパルであり、該プリンシパルが相互認証することを特徴とする請求項４に記載のネットワーク情報設定方法。
【請求項６】
前記セキュリティ通信はＩＰｓｅｃを含み、前記通信端末装置はＩＰｓｅｃの鍵交換プロトコルに従って前記第２のサーバまたは前記他の通信端末装置との間でセキュリティ情報を交換することを特徴とする請求項１乃至５のいずれかに記載のネットワーク情報設定方法。
【請求項７】
鍵情報を記憶する第１のサーバと、属性情報を記憶する第２のサーバと、制御ネットワークを介して前記第１、第２のサーバに接続される通信端末装置を具備するネットワークシステムであって、
前記第１のサーバは、
前記通信端末装置と相互認証する手段と、
前記相互認証が成功した前記通信端末装置に対して、少なくとも前記第２のサーバとの間のセキュリティ通信に必要な鍵情報とを送信する手段とを備え、
前記通信端末装置は、
前記第１のサーバを発見する手段と、
前記第１のサーバとの相互認証を行う手段と、
前記相互認証に成功した第１のサーバから前記第２のサーバの情報と前記第２のサーバとの間のセキュリティ通信に必要な鍵情報とを前記第１のサーバから取得する手段と、
前記鍵情報を用いたセキュリティ通信により少なくとも前記通信端末装置の識別子およびネットワークアドレスを含む属性情報を前記第２のサーバに送信する手段とを備え、
前記第２のサーバは、
セキュリティ通信を介して受信した属性情報を前記通信端末装置の属性情報として記憶する手段と、
他の通信端末装置が前記第１のサーバから取得した、前記第２のサーバとの間のセキュリティ通信に必要な鍵情報を用いた該他の通信端末装置とのセキュリティ通信を介して前記通信端末装置の識別子に関する問合せがあった場合は、該他の通信端末装置に対して前記通信端末装置の属性情報を送信する手段と
を備えることを特徴とするネットワークシステム。
【請求項８】
前記通信端末装置は、ＤＨＣＰサービスに従って前記第１のサーバを発見することを特徴とする請求項７に記載のネットワークシステム。
【請求項９】
前記通信端末装置は、マルチキャストサービスに従って前記第１のサーバを発見することを特徴とする請求項７に記載のシステム。
【請求項１０】
前記第１のサーバはケルベロスの鍵管理サーバを含むことを特徴とする請求項７乃至９のいずれかに記載のネットワークシステム。
【請求項１１】
前記第１、第２の通信端末装置のそれぞれに対応する識別子はケルベロスのプリンシパルであり、該プリンシパルが相互認証することを特徴とする請求項１０に記載のネットワークシステム。
【請求項１２】
前記セキュリティ通信はＩＰｓｅｃを含み、前記通信端末装置はＩＰｓｅｃの鍵交換プロトコルに従って前記第２のサーバまたは前記他の通信端末装置との間でセキュリティ情報を交換することを特徴とする請求項７乃至１１のいずれかに記載のネットワークシステム。
【請求項１３】
鍵情報を記憶する第１のサーバと、属性情報を記憶する第２のサーバとに制御ネットワークを介して接続される通信端末装置であって、
前記第１のサーバを発見する手段と、
前記第１のサーバと相互認証する手段と、
前記相互認証が成功した場合には、前記第２のサーバの情報と、前記第２のサーバとの間のセキュリティ通信に必要な鍵情報を前記第１のサーバから取得する手段と、
前記鍵情報を用いたセキュリティ通信により少なくとも該通信端末装置の識別子およびネットワークアドレスを含む属性情報を前記第２のサーバに送信する手段と、
前記第２のサーバに他の通信端末装置の識別子を送信し、その応答として該他の通信端末装置のネットワークアドレスを取得する手段と、
前記ネットワークアドレスに基づき前記他の通信端末装置を前記制御ネットワーク上で特定し、任意の通信を行う通信手段と、
を具備することを特徴とする通信端末装置。
【請求項１４】
ＤＨＣＰサービスに従って前記第１のサーバを発見することを特徴とする請求項１３に記載の通信端末装置。
【請求項１５】
マルチキャストサービスに従って前記第１のサーバを発見することを特徴とする請求項１３に記載の通信端末装置。
【請求項１６】
前記セキュリティ通信はＩＰｓｅｃを含み、ＩＰｓｅｃの鍵交換プロトコルに従って前記第２のサーバまたは前記他の通信端末装置との間でセキュリティ情報を交換することを特徴とする請求項１３乃至１５のいずれかに記載の通信端末装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰ化された制御ネットワークにおけるネットワーク情報設定方法、ネットワークシステム、ならびに通信端末装置に関する。
【背景技術】
【０００２】
ビルネットワークやＦＡネットワーク等において使用される制御ネットワーク技術は、近年爆発的に普及したインターネット技術とほぼ同時期に提供され始めたが、コスト制約など特有の要件のために独自な発展を遂げてきた。このため、これら制御ネットワーク技術の多くはインターネット技術とは異なる独自の技術に基づいている。その一つは例えばプロトコル階層である。
【０００３】
近年、インターネット技術が広く普及し、社会的インフラの地位を確立したことによって、これらの制御ネットワーク技術がＴＣＰやＵＤＰといったインターネット系の技術をトランスポート層に取り込んでいる。例えば、ＢＡＣｎｅｔ（商標）やＭＯＤＢＵＳ  ＴＣＰ／ＩＰ（商標）などが典型的な例といえる。これらをＩＰ化された制御ネットワークと称する。ＩＰ化された制御ネットワークには以下の課題がある。
【０００４】
（１）セキュリティ  
制御ネットワークでは、そもそも閉じたネットワークと独自プロトコルが採用されていたため、セキュリティに対する関心が薄かったが、それは特にインターネットと制御ネットワークが相互接続した場合には危険である。これは制御ネットワークが独自プロトコルだったために、関心を呼ばなかっただけで、もし本格的な攻撃の意志が存在するなら、非公開であることだけでは防御になりえない。
【０００５】
特に、インターネットを介した広域環境で制御システムを分散させた場合、パケットはパブリックスペース上を流れるので閉じたネットワークを仮定できない。さらに、レイヤー２に無線技術が導入されている場合、たとえ閉じたネットワークを構築しても、無線レイヤのセキュリティの甘さを突いて第三者が容易にネットワークへアクセスできる可能性がある。しかし、インターネット技術を有効に利用するためには、特定のレイヤー２技術を仮定することはできない。従って、特定のレイヤー２に依存したセキュリティ技術はシステム構築の選択の幅を狭め、エンジニアリングコストを増大させる。結論として、特定のレイヤー２に依存しないセキュリティ手法を提示することが必須になる。
【０００６】
（２）機器の発見と自律的なセットアップ  
現状では、制御ネットワーク下の機器が動作するための情報設定は、人手で静的に行われている。しかし、インターネット技術を用いて制御ネットワークを構築できるようになると、機器を自動的に発見することが重要になる。機器の自動発見に基づく自律的なセットアップ（ネットワーク情報設定）によれば、広大な空間に分散するネットワークを構築できるようになり、大量の機器をネットワークに接続することが可能になる。ネットワーク上に分散した大量の機器に対し、動作に必要な情報を人手で設定するのは、非効率的であるばかりか間違いの元である。また、フィールドの機器は周辺機器が限定されてしまう。しかも、機器に応じて使用可能な周辺機器の種類が異なっている可能性も高い。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
本発明は、制御ネットワークに接続される機器の安全かつ自律的なセットアップを実現するためのネットワーク情報設定方法、ネットワークシステム、ならびに通信端末装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明の一観点に係るネットワーク情報設定方法は、鍵情報を記憶する第１のサーバと、属性情報を記憶する第２のサーバとが接続された制御ネットワークに通信端末装置が接続されたとき、該通信端末装置の属性情報を前記第２のサーバに記憶するネットワーク情報設定方法であって、前記通信端末装置は、前記第１のサーバを発見するステップと、前記第１のサーバとの相互認証を行うステップと、前記相互認証に成功した第１のサーバから前記第２のサーバの情報と、前記第２のサーバとの間のセキュリティ通信に必要な鍵情報とを前記第１のサーバから取得するステップと、前記鍵情報を用いたセキュリティ通信により、少なくとも前記通信端末装置の識別子およびネットワークアドレスを含む属性情報を前記第２のサーバに送信するステップとを有し、前記第２のサーバは、該セキュリティ通信を介して受信した属性情報を前記通信端末装置の属性情報として記憶するステップと、他の通信端末装置が前記第１のサーバから取得した、前記第２のサーバとの間のセキュリティ通信に必要な鍵情報を用いた該他の通信端末装置とのセキュリティ通信を介して前記通信端末装置の識別子に関する問合せがあった場合は、該他の通信端末装置に対して前記通信端末装置の属性情報を送信するステップとを有することを特徴とするネットワーク情報設定方法である。
【０００９】
本発明の別の観点に係るネットワークシステムは、鍵情報を記憶する第１のサーバと、属性情報を記憶する第２のサーバと、制御ネットワークを介して前記第１、第２のサーバに接続される通信端末装置を具備するネットワークシステムであって、前記第１のサーバは、前記通信端末装置と相互認証する手段と、前記相互認証が成功した前記通信端末装置に対して、少なくとも前記第２のサーバとの間のセキュリティ通信に必要な鍵情報とを送信する手段とを備え、前記通信端末装置は、前記第１のサーバを発見する手段と、前記第１のサーバとの相互認証を行う手段と、前記相互認証に成功した第１のサーバから前記第２のサーバの情報と前記第２のサーバとの間のセキュリティ通信に必要な鍵情報とを前記第１のサーバから取得する手段と、前記鍵情報を用いたセキュリティ通信により少なくとも前記通信端末装置の識別子およびネットワークアドレスを含む属性情報を前記第２のサーバに送信する手段とを備え、前記第２のサーバは、セキュリティ通信を介して受信した属性情報を前記通信端末装置の属性情報として記憶する手段と、他の通信端末装置が前記第１のサーバから取得した、前記第２のサーバとの間のセキュリティ通信に必要な鍵情報を用いた該他の通信端末装置とのセキュリティ通信を介して前記通信端末装置の識別子に関する問合せがあった場合は、該他の通信端末装置に対して前記通信端末装置の属性情報を送信する手段とを備えることを特徴とするネットワークシステムである。
【００１０】
本発明のさらに別の観点に係る通信端末装置は、鍵情報を記憶する第１のサーバと、属性情報を記憶する第２のサーバとに制御ネットワークを介して接続される通信端末装置であって、前記第１のサーバを発見する手段と、前記第１のサーバと相互認証する手段と、前記相互認証が成功した場合には、前記第２のサーバの情報と、前記第２のサーバとの間のセキュリティ通信に必要な鍵情報を前記第１のサーバから取得する手段と、前記鍵情報を用いたセキュリティ通信により少なくとも該通信端末装置の識別子およびネットワークアドレスを含む属性情報を前記第２のサーバに送信する手段と、前記第２のサーバに他の通信端末装置の識別子を送信し、その応答として該他の通信端末装置のネットワークアドレスを取得する手段と、前記ネットワークアドレスに基づき前記他の通信端末装置を前記制御ネットワーク上で特定し、任意の通信を行う通信手段と、を具備することを特徴とする通信端末装置である。
【発明の効果】
【００１１】
本発明によれば、制御ネットワークに接続される機器の安全かつ自律的なセットアップを実現するためのネットワーク情報設定方法、ネットワークシステム、ならびに通信端末装置を提供できる。
【発明を実施するための最良の形態】
【００１２】
以下、図面を参照しながら本発明の実施の形態を説明する。
【００１３】
（第１実施形態）本発明の第１実施形態はプラントやビルディング内の自動制御（監視、防災、照明制御等）を実現するネットワークシステムに関する。かかる自動制御等のために、本システムには複数の機器からなるサブシステムを有する。監視システム、データロガー、センサ／アクチュエータ群などに相当するこれら機器は施設内において物理的あるいは論理的に分散して配置され、制御ネットワークに接続されて動作する。制御ネットワークとしては、既存のＢＡＣｎｅｔ（商標）やＭＯＤＢＵＳ（商標）等をベースにこれをＩＰ化したものであったり、あるいは全く新規のＩＰネットワークから構成される。ＩＰネットワークとしてはＩＰｖ６が導入されることが好ましい。なお、本発明はこの実施形態のようなプラントやビルディング内の自動制御のためのネットワークシステムに限定されない。
【００１４】
本実施形態は、このようにＩＰ化された制御ネットワークに接続される機器群に対する人手による煩雑な情報設定を不要にする自律的なセットアップを実現する。また、かかる情報設定が安全に行われるようセキュリティを考慮する。すなわち、システムに適正に認証された機器が、同様に適正に認証されたサーバから必要なデータを取得できる仕組みを備える。
【００１５】
図１は本発明の第１実施形態に係るネットワークシステムの構成例を示す図である。モニター１ａ、ロガー１ｂ、コントローラ５，６等の機器群が制御ネットワーク４に接続されている。制御ネットワーク４はＩＰ化されている。また、制御ネットワーク４にはＫＤＣ２および属性サーバ３が接続されている。
【００１６】
制御ネットワーク４上に存在する機器もしくはサービスをエンティティ(entity)と称する。ここで、１台の機器は１つのノードに相当する。また、１つのサービスのみを提供する単機能なノードは１つのエンティティに相当するが、サーバなど複数のサービスを提供するノードもあり、この場合、個々のサービスが１つのエンティティに対応する。つまり、一つのノードが複数のエンティティを構成し得る。
【００１７】
以下、明細書の説明において「ノード」と称することは、制御ネットワーク４に接続される機器（デバイス）としての見方であり、「エンティティ」と称することは、対応するノードを認証の対象として見る場合をいう。
【００１８】
エンティティ間の通信は、図１に示すＫＤＣ２を介した相互認証によりセキュリティが確保される。ＫＤＣ２はエンティティの実体（識別子）を認証したり、複数のエンティティ間で相互に認証が成功した場合に各エンティティ間でセキュリティ通信を行うために必要な鍵情報を発行したりする第１のサーバであり、認証サーバあるいは鍵管理サーバと称する。なお、ＫＤＣの定義については、参考文献（C. kaufman, R. Perlman, M. Spenciner, "Network Security", Prentice Hall のSection 7.7.1）に詳しい。例えば、ＫＤＣ２はあるエンティティの識別子を認証したら、他のエンティティに対して、その識別子の認証を保証する。
【００１９】
相互認証した複数のエンティティは、結果として共有した鍵を用いて通信の安全を守る。該通信の安全のために、例えばＩＰ層のセキュリティであるＩＰｓｅｃを利用することができる。  
本実施形態のネットワークシステムにおいては、以下（１）〜（３）のサービスが提供されることが必要である。
【００２０】
（１）各エンティティがＫＤＣと通信するために必要な情報を提供するサービス。  
このサービスは、例えば、エンティティがKRB_AS_REQメッセージをマルチキャスト送信すること、ＤＨＣＰがＫＤＣの情報を発信することなどにより実現できる。なお、ＤＨＣＰのサービスを提供するためのＤＨＣＰサーバを設ける構成例を第２実施形態で説明する。
【００２１】
（２）各エンティティがネットワーク上で自律的に動作するために必要な資源に関する属性情報を提供する属性情報提供サービス。  
このサービスの実現には図１に示される属性サーバ（ＰＳ；Property Server）３が利用される。属性サーバ３は資源に関する属性情報を提供する第２のサーバである。
【００２２】
属性情報には、少なくとも、エンティティ間の相互認証に必要な情報（識別子とネットワークアドレス）が含まれる。つまり、各エンティティは自分の情報を属性サーバ３に登録でき、他のエンティティの情報を属性サーバ３から検索できる。
【００２３】
ＩＰｖ６の自動アドレス構成やＤＨＣＰなどにより機器のＩＰアドレスが動的に割り振られる場合には、事前に識別子とＩＰアドレスを静的に関連付けることができない。このような場合でも属性サーバ３から検索により必要なＩＰアドレスを取得できる。
【００２４】
また、相互認証に必要な情報以外のもの、例えばエンティティの持つ機能リストなどをオプションとして属性サーバ３に登録することで、パラメータ設定を効率化することも好ましい。
【００２５】
（３）各エンティティが属性サーバと通信するために必要な属性サーバ情報を提供するサービス。
【００２６】
例えば、ＫＤＣ２が属性サーバ情報を提供してもよい。あるいは、ＤＨＣＰサーバから属性サーバ情報を発信してもよい。
【００２７】
一方、本実施形態のネットワークシステムにおいて、各ノードは次に説明する機能を備えている。すなわち、あるノードに相当する通信端末装置は、制御ネットワーク４上のＫＤＣ２を発見し、該ＫＤＣ２から提供される鍵を使って相互認証が行えるようになっている。また、制御ネットワーク４において属性サーバ３を発見し、ＫＤＣ２を使って当該ノードと属性サーバ３との間の相互認証が行える。さらに、当該ノードの情報を属性サーバ３に登録することができ、他のノードの情報を獲得するために属性サーバ３に問い合わせを行うことも可能である。そして、当該ノードは、ＫＤＣ２を使って他のノードとの相互認証を行い、安全な通信経路を確保する。
【００２８】
図２は、本発明の第１実施形態に係る制御ネットワークシステムに接続された通信端末装置の内部構成を示すブロック図である。同図に示すように、この通信端末装置は、通信処理部８０、サーバ発見部８１、認証サーバアドレスレジスタ８２、属性サーバアドレスレジスタ８３、自己プロファイル格納メモリ８４、通信相手情報レジスタ８５、およびセキュリティパラメータテーブル８６から構成される。
【００２９】
サーバ発見部８１は、制御ネットワーク４において、認証サーバ（ＫＤＣ）２、属性サーバ３をなんらかのネットワークサービス（例：ＤＨＣＰ，マルチキャストなど）で発見する。発見されたこれらサーバのＩＰアドレスは、認証サーバアドレスレジスタ８２、属性サーバアドレスレジスタ８３に各々格納される。
【００３０】
自己プロファイル格納メモリ８４には、この通信端末装置の識別子、ＩＰアドレス、機能などのプロファイルデータが格納される。少なくとも、自己プロファイル格納メモリ８４にはノード名（識別子）、ＩＰアドレスが格納される。なお、属性サーバ３への登録データとして、これら以外にも機器属性に関する任意の情報を格納してもよい。各ノードの構成を知るため最小限必要なデータが属性サーバ３に登録されることにより、どのノードとどのように接続するかといったネットワーク接続情報や動作モードなどの制御情報を各ノードのそれぞれにおいてハードコーディングする必要がなくなる。
【００３１】
通信相手情報レジスタ８５には、所望する通信相手のノード（エンティティ）について属性サーバ３に問い合わせた結果得られる当該ノードの属性情報が格納される。また、この通信相手と認証サーバ（ＫＤＣ）２を介して交換されるセキュリティパラメータ（暗号化鍵を含む）がセキュリティパラメータテーブル８６に格納される。このセキュリティパラメータを用いて、セキュリティを保持した通信がノード間で確立される。
【００３２】
さて、各エンティティは、制御ネットワーク４に接続されると、以下のメッセージシーケンスに従い、ＫＤＣ２および属性サーバ３を利用して自律的なセットアップ（初期設定）を遂行する。該メッセージシーケンスは、概略的には、（１）ＫＤＣの発見と認証、（２）属性サーバ（ＰＳ）の発見、（３）自己情報の登録、および（４）セットアップ情報の取得、から構成される。以下、図３を参照しながら該メッセージシーケンスの詳細を説明する。このシーケンスは、エンティティＡ（図１に示したコントローラ５）のセットアップについてのものである。
【００３３】
図３に示すように、まずＫＤＣ発見サービスを利用し、ＫＤＣ２にアクセスするための情報を取得する（ステップＳ１）。次に、ステップＳ１で取得した情報に従い、ＫＤＣ２に対し、ＫＤＣ２と通信するためのチケットを要求する（ステップＳ２）。ここでいうチケットとは、ＫＤＣの配下にある二つのエンティティが相互に認証を行うための情報のことを言う。チケットを発行するＫＤＣは、認証のためにチケットの発行を行うすべてのエンティティの秘密情報を記憶している。そしてこのＫＤＣのみがエンティティの認証のためのチケットを生成することができる。この発行されたチケットの内容を確認することで、ＫＤＣ２を認証する（ステップＳ３）。ここで、ステップＳ２およびＳ３におけるＫＤＣ２との通信は、ＫＤＣ２が提供するセキュリティで守られる。
【００３４】
次に、属性サーバ発見サービスを利用して、属性サーバ３にアクセスするための情報を取得する（ステップＳ４）。次に、ステップＳ４で取得した情報に従い、ＫＤＣ２に対し、属性サーバ３と通信するためのチケットを要求する（ステップＳ５）。そして、属性サーバ３と通信ためのチケットを取得する（ステップＳ６）。ここで、ステップＳ５およびＳ６におけるＫＤＣ２との通信は、ＫＤＣ２が提供するセキュリティで守られる。
【００３５】
次に、入手したチケットを用いて、属性サーバ３との間に安全な通信経路を確立する（ステップＳ７）。以後、エンティティＡと属性サーバ３との間の通信はセキュリティで守られる。
【００３６】
次に、当該エンティティＡの情報（アドレス、識別子、その他）を属性サーバ３に登録する（ステップＳ８）。また、当該エンティティＡのネットワーク動作に必要な情報を属性サーバ３から取得する（ステップＳ９）。他のエンティティも同様の手順を行う。
【００３７】
ここで、属性サーバ３にどのような情報を登録するかについては、上述したように、エンティティＡが相互認証するためのＩＰアドレスと名前情報が必須であり、それ以外は任意のオプショナルな情報を登録することが可能である。例えば、機能リストを含む情報を登録すると、特定のサービスを提供可能なエンティティを検索したり、ある端末から制御可能なエンティティを検索したりすることが可能になる。より具体的には、属性サーバ３に登録する情報としては例えば以下の情報が想定される。  
・各ノードの識別子とＩＰアドレス  
これは、本発明の実施形態において必須な登録であり、各ノードは自分の識別子と動的に割り当てられたＩＰアドレスを属性サーバ３へ登録する。他のノードがこのノードへアクセスする時には、属性サーバ３へ相手ノード識別子を与えることで、それに対応する適切なＩＰアドレスを取得できる。
【００３８】
・各ノードの位置情報  
何らかの方法により、各ノードが自分の位置情報を取得できるのであれば、該位置情報を属性サーバ３へ登録する。監視システムは、属性サーバ３から位置情報を取得することにより、監視下にある全てのノードの物理的な地図を動的に作成できる。この方法のもう一つの利点は、ノードの設置位置の変化に監視システムが自律的に対応できることである。従来の監視システムではノードの位置情報は静的に設定されるため、ノードが多数の場合には設定の手間がかかるばかりか、ノードの位置が変わっても自動的に対応できない。
【００３９】
・各ノードの製造情報  
各ノードがは、自分の製造情報（メーカ名、型番、バージョン番号など）を属性サーバ３に登録する。システム管理者は、属性サーバ３から全てのノードの製造情報を閲覧することにより、適切な保守管理（修理、交換、更新など）が容易に行えるので、システム運用の安定性と低コスト化に貢献できる。
【００４０】
・各ノードのアクセス制御情報  
システム管理者は、各ノードの権限を属性サーバ３で一元管理する。あるノードが他のノードからアクセスされた時に、相手ノードの権限を属性サーバ３から取得し、要求されているサービスと比較する。もし要求が権限を越えていたら、ノードは相手ノードの要求を拒否する。本発明の実施形態では、信頼できる属性サーバ３がノードの権限を一元管理するよう構成されていることから、安全かつ効率的なアクセス制御を実現でき、安全なシステムを提供可能になる。
【００４１】
・各ノードの制御パラメータ  
システム管理者は、各ノードの動作に必要な制御パラメータを属性サーバ３で一元管理する。ノードは、起動後に属性サーバ３から自分の制御パラメータを取得し、実際の制御動作を開始する。なお、従来では実際のシステムを構築する際に、各ノードに制御パラメータを前もって設定しておく必要がある。ノードの実際の設置後にその制御パラメータを変更することについて、従来では以下の問題がある。すなわち、（１）特別なツールが必要になる場合があること、（２）設定変更のための特別な配線を事前に設置せねばならないこと、（３）システムの一部または全体を一時的に停止せねばならない場合があること、（４）オンラインでの設定変更の手段の存在自体が安全上の問題になり得ることである。これに対し本発明の実施形態は、制御パラメータの設定および変更に属性サーバ３を利用することから、特別なツールや配線は不要であり、システムの一部または全体を停止させることなく処理を行え、しかも通信の安全が考慮される点で優れる。
【００４２】
さて、全てのエンティティが自己情報を属性サーバ３に登録を完了した後は、任意のエンティティが属性サーバ３を介して相手エンティティを発見し、ＫＤＣ２を介して安全な通信経路を確立できる。
【００４３】
図４は、エンティティＡがエンティティＢとの通信を確立する際のメッセージシーケンスを示している。まずエンティティＡは、属性サーバ３に、通信したい相手エンティティＢの情報を該エンティティＢの識別子に基づいて問い合わせる（ステップＳ１０）。属性サーバ３では、エンティティＢの識別子に基づいて該エンティティＢのＩＰアドレスが取得され、エンティティＡに通知される。
【００４４】
次に、ＫＤＣ２に対しエンティティＢと通信するためのチケットを要求する（ステップＳ１２）。エンティティＢのチケットを取得すると（ステップＳ１３）、この入手したチケットを用いて、エンティティＢと属性サーバ３との間の安全な通信経路を確立する（ステップＳ１４）。以後、エンティティＢとの通信は守られ、エンティティＡとエンティティＢとの間で任意の通信が行われる（ステップＳ１５）。
【００４５】
以上説明した本発明第１実施形態によれば、制御ネットワークに接続される機器の安全かつ自律的なセットアップを実現できる。また、具体的には以下のメリットがある。すなわち、制御ネットワークにおいて、相互認証した複数のエンティティのみが通信を確立でき、かつエンティティ間通信の一貫性と機密性をエンドツーエンド（ｅｎｄ−ｔｏ−ｅｎｄ）で保証するといったセキュリティを実現できる。
【００４６】
あるエンティティは、１つまたは複数の相手を発見するための条件をフレキシブルに指定できるようになり、発見の過程で行われる通信の内容のプライバシーを機器探索側主導で守ることができる。
【００４７】
また、適正に認証されたエンティティが、適正に認証されたサーバから制御ネットワークでの動作に必要な情報を取得する仕組みを実現できる。その際にサーバから取得する情報は、エンティティ側で任意に指定でき、かつその過程で行われる通信内容のプライバシーを守ることも可能となる。
【００４８】
また、属性サーバ３において各ノードの名前、ＩＰアドレス、機能などの属性情報が登録、一元管理されることにより、例えばビルや工場などに多数設置されたノードについて、その構成を例えばビルの部屋改装や、工場におけるラインの組替えなどに応じて変更する場合でも、該当する所要ノード間における通信パラメータのやり取りを人手を介することなく自動的に行うことが可能となる。したがって、制御ネットワーク全体の管理コストを極めて低く抑えることが可能になる。
【００４９】
今後、制御系ネットワークとインターネットなど通信系ネットワークが融合し、例えばＲＦタグを使った入退室管理や、ＰＣ、ＰＤＡなどのＩＰ端末を用いた設備系ネットワーク機器の制御といったサービスが提供されるようになる。本発明の実施形態はこのようなＩＰ端末とも極めて親和性が高く、しかも従来から稼動している制御系ネットワークとの共存も可能であることから、導入コスト面等において有利である。
【００５０】
（第２の実施形態）本発明の第２実施形態は上述した第１実施形態よりも具体的な例に係わる。図５は本発明の第２実施形態に係るネットワークシステムの構成を示す図である。第２実施形態においてはＩＰｖ６が適用される。また、機器間の相互認証にはケルベロス（Kerberos）を用い、ケルベロスの鍵配布サーバであるＫＤＣの発見にはＤＨＣＰを用い、エンティティ間通信の安全のためにＩＰｓｅｃを用いる。また、ＩＰｓｅｃの運用に必要な動的鍵交換にＫＩＮＫを用いる。
【００５１】
ケルベロス（Kerberos）とはＲＦＣ５１５０で定義されている通信プロトコルのことである。ケルベロスはネットワーク上のエンティティが識別子で相互認証できるようにするためのサービスを提供する。ここでいう「識別子」とは、ＩＰアドレスではなく、名前のことである。ケルベロスでは機器（エンティティティ）の実体のことをプリンシパル(principal)と称する。また、あるケルベロスの管理下にある論理的な領域をレルム(realm)と称する。レルムは、レルム名という名前を持つ。あるレルムに属するプリンシパルはプリンシパル名という名前を持つ。したがって、プリンシパルの識別子はプリンシパル名とレルム名との組合せから構成される。
【００５２】
ケルベロスのサーバであるＫＤＣは各機器と秘密情報を共有する。該ケルベロスＫＤＣは全ての機器の秘密情報を一元管理し、エンティティ間の相互認証を「チケット」というサービスによって提供する。チケットを利用した機器とケルベロスＫＤＣの相互認証について後述する（図９のAS_REQ/AS_REP交換を参照）。また、チケットを利用したエンティティ間の相互認証について後述する（図１０のTGS_REQ/TGS_REP交換とAP_REQ/AP_REP交換を参照）。
【００５３】
ＤＨＣＰとはＲＦＣ２１３１で定義されている通信プロトコルのことであり、ネットワークに接続された機器が同ネットワーク上の資源を発見するためのプロトコルである。ネットワークに接続された機器はＤＨＣＰ要求をネットワーク上にブロードキャストする。ネットワーク上のＤＨＣＰサーバはブロードキャストされた要求を検出し、自分の知っているネットワーク資源（例：ＤＮＳサーバのＩＰアドレス、機器が使って良いＩＰアドレスなど）を通知する。なお、ＤＨＣＰのプロトコル自体は認証機能を備えていないので、ＤＨＣＰサーバを偽ることが可能である。
【００５４】
ＩＰｓｅｃとはＲＦＣ２４０１で定義されている通信プロトコルのことであり、ＩＰ層のパケットのセキュリティを提供する。ＩＰｓｅｃはＩＰパケットのペイロードを暗号化する機能およびＩＰパケットの改竄を防止する機能を提供する。通信を行う両端がＩＰｓｅｃで守られた通信を行うためには、セキュリティ・アソシエーション(Security Association; SA)と呼ばれる秘密情報を共有せねばならない。またＳＡに関する情報を共有する方法を鍵交換と称する。鍵交換の手段には、手動による静的な交換と、鍵交換プロトコルによる動的な交換が存在する。実運用時の利便性を考えると、鍵交換プロトコルによる動的交換が必須である。
【００５５】
ＫＩＮＫとは、現在、ＩＥＴＦで標準化の過程にあるＩＰｓｅｃ用の鍵交換プロトコルのことである。ＫＩＮＫでは、ケルベロスの相互認証サービスを利用し、ＩＰｓｅｃを確立する両端がＳＡに関する情報を交換する。
【００５６】
以上説明したようなＫＩＮＫベースの認証プラットホームにおいて、ＩＰｖ６ノードに相当する各エンティティは以下に説明するメッセージシーケンスに従って自律的なセットアップと相手の機器の発見を安全に行なう。
【００５７】
図６及び図７は本発明の第２実施形態に係るメッセージシーケンスの概要を示す図である。このメッセージシーケンスは図６のスタートアップ段階と図７のディスカバリ（発見）段階とに大別される。
【００５８】
図６を参照すると、スタートアップ段階では、先ずスイッチ（"X"）がＤＨＣＰサーバ（"D"）を通じて制御ネットワーク４上に存在するケルベロスＫＤＣ（"K"）を探索し、その情報（具体的にはＩＰアドレス）を取得する（ステップＳ１０１）。なお、ケルベロスＫＤＣの識別子は一般に固定されており、ＤＨＣＰサーバ（"D"）から取得する必要はない。次に、ＤＨＣＰサーバ（"D"）から取得したケルベロスＫＤＣの情報が正しいという保証は無いので、正しいケルベロスＫＤＣを認証せねばならない。ここで、ケルベロスのAS_REQ/AS_REP交換により、信頼できるケルベロスＫＤＣ（"K"）を選択する（ステップＳ１０２）。次に、信頼できるケルベロスＫＤＣ（"K"）から、属性サーバ（"P"）の情報（識別子とＩＰアドレス）を取得する（ステップＳ１０３）。信頼できるケルベロスＫＤＣ（"K"）から取得した属性サーバ（"P"）の情報は信頼できると考えられる。次に、スイッチ（"X"）の自己情報（識別子とＩＰアドレス）を属性サーバ（"P"）へ登録する（ステップＳ１０４）。
【００５９】
ノードであるスイッチ（"X"）が属性サーバ（"P"）と通信を確立する際には、ケルベロスを用いて相互認証し、ＩＰｓｅｃを用いて通信を守るので、実体としての属性サーバ（"P"）は信頼できると考えられる。なお、逆に属性サーバ（"P"）は、同様の理由により、スイッチ（"X"）を信用してもよい。そして、スイッチ（"X"）は動作に必要なスタートアップ情報を属性サーバ（"P"）から取得する（ステップＳ１０５）。
【００６０】
次に図７を参照すると、ディスカバリ（発見）段階では、まずスイッチ（"X"）は、信頼できる属性サーバ（"P"）を利用し、通信相手の情報（識別子とＩＰアドレス）を取得する。ここでは、制御ネットワーク４に接続された機器（ノード）であるところの照明機器（"Y"）が通信相手であるとする（ステップＳ１０６）。この場合、属性サーバ（"P"）から取得した相手の情報すなわち照明機器（"Y"）の情報は、属性サーバ（"P"）が信頼できることから同様に信頼できるものとする。そして、スイッチ（"X"）は相手機器である照明機器（"Y"）との任意の通信を行う（ステップＳ１０７）。通信を確立する際には、ケルベロスを用いて相互認証し、ＩＰｓｅｃを用いて通信を守るので、実体としての相手である照明機器（"Y"）は信頼できると考えられる。また、逆に照明機器（"Y"）は、同様の理由により、スイッチ（"X"）を信用できると考える。
【００６１】
このように図６および図７を参照して説明したメッセージシーケンスをさらに図８乃至図２０を参照して詳細に説明する。ここではケルベロスＫＤＣの探索にＤＨＣＰを利用するものとする。
【００６２】
（ステップＳ１０１：ＤＨＣＰを用いたケルベロスＫＤＣの探索）  
図８に示すように、ＤＨＣＰを用いたケルベロスＫＤＣ探索では、スイッチ（"X"）からＤＨＣＰサーバに対しメッセージｍ１("DHCP Request")を送信する。ＤＨＣＰサーバはこれに応答し、メッセージｍ２("DHCP Reply", Kerberos: Name: K, IP address: IPk, Kerberos: Name: K2, IP address: IPk2, Kerberos: Name: K3, IP address: IPk3........")を返す。
【００６３】
（ステップＳ１０２：ケルベロスＫＤＣの認証）  
図９に示すように、ケルベロスのAS_REQ/AS_REP交換において、スイッチ（"X"）はケルベロスＫＤＣ（"K"）に、特別なチケットTGTを要求するメッセージｍ３を送信する。この応答としてのメッセージｍ４により、スイッチ（"X"）はTGTxとセッション鍵Sxを取得する。ここで、スイッチ（"X"）はKxを知っているからTGTxを解読でき、ケルベロスＫＤＣ（"K"）を認証できる。
【００６４】
（ステップＳ１０３：属性サーバの探索）  
まず、図１０に示すように、ケルベロスのTGS_REQ/TGS_REP交換において、スイッチ（"X"）はTGTxを用い、属性サーバ探索のためのチケットを要求するメッセージｍ５をケルベロスＫＤＣ（"K"）に送信する。その応答として、スイッチ（"X"）はメッセージｍ６をケルベロスＫＤＣ（"K"）から受信し、属性サーバ探索のためのチケットを取得する。
【００６５】
次に、図１１に示すように、ケルベロスのAP_REQ/AP_REP交換において、スイッチ（"X"）は、ケルベロスＫＤＣ（"K"）にチケットと認証データを含んだメッセージｍ７を送信する。これに応答して、ケルベロスＫＤＣ（"K"）は、受け取ったチケットと認証データをもとに、スイッチ（"X"）を認証し、新たな認証データを含んだメッセージｍ８をスイッチ（"X"）へ送信する。
【００６６】
これに応じてスイッチ（"X"）は、受け取った認証データをもとに、ケルベロスＫＤＣ（"K"）を認証する。この結果、スイッチ（"X"）とケルベロスＫＤＣ（"K"）の相互認証が確立する。
【００６７】
そして、図１２に示すように、TICKETxkに基づいたケルベロスのKRB_PRIVメッセージを利用した独自のプロトコルにより、スイッチ（"X"）は、ケルベロスＫＤＣ（"K"）に対し、属性サーバ情報（名前とＩＰアドレス）を問い合わせるメッセージｍ９を送信する。これに応答してケルベロスＫＤＣ（"K"）は、自分の知っている属性サーバに関する情報を表すメッセージｍ１０をスイッチ（"X"）へ返す。これによりスイッチ（"X"）は、属性サーバ（"P"）とＩＰｓｅｃを確立するために必要な情報（名前とIPアドレス）を取得できる。
【００６８】
（ステップＳ１０４：自己情報の登録）  
まず、図１３に示すように、ケルベロスのTGS_REQ/TGS_REP交換において、スイッチ（"X"）はTGTxを用いて、属性サーバ（"P"）とＫＩＮＫ交換を行うためのチケットを要求するメッセージｍ１１をケルベロスＫＤＣ（"K"）に送信する。その応答として、スイッチ（"X"）は、メッセージｍ１２を受信し、属性サーバ（"P"）とＫＩＮＫ交換を行うためのチケットを取得する。
【００６９】
次に、図１４に示すように、ＫＩＮＫ交換において、スイッチ（"X"）は入力側SA[IPx←IPp, Sxp]を生成し、設定する。そして、ＫＩＮＫ交換に基づくメッセージｍ１３により属性サーバ（"P"）にその情報を伝える。属性サーバ（"P"）はSA[IPx→IPp, Sxp]を設定する。一方、属性サーバ（"P"）は入力側SA[IPx←IPp, Sxp]を生成し、設定する。そして、ＫＩＮＫ交換に基づくメッセージｍ１４によりスイッチ（"X"）にその情報を伝える。スイッチ（"X"）はSA[IPx→IPp, Sxp]を設定する。以後、スイッチ（"X"）と属性サーバ（"P"）との間の全ての通信はＩＰｓｅｃで守られる。
【００７０】
そして、図１５に示すように、スイッチ（"X"）は自己情報の登録を要請するメッセージｍ１５（"Register my info" Name: "X" IP address: IPx）を属性サーバ（"P"）に送信する。なお、スイッチ（"X"）と属性サーバ（"P"）との間の全ての通信はＩＰｓｅｃで守られる。
【００７１】
（ステップＳ１０５：スタートアップ情報の取得）  
図１６に示すように、スイッチ（"X"）はスタートアップ情報を要求するメッセージｍ１６("Request startup info of mine")を属性サーバ（"P"）に送信する。これに応答して属性サーバ（"P"）はスタートアップ情報を表すメッセージｍ１７("Startup info" any data")をスイッチ（"X"）に送信する。なお、スイッチ（"X"）と属性サーバ（"P"）との間の全ての通信はＩＰｓｅｃで守られる。
【００７２】
（ステップＳ１０６：相手アドレスの取得）  
図１７に示すように、スイッチ（"X"）は、通信相手である照明機器（"Y"）のＩＰアドレスを要求するメッセージｍ１８("Request IP address"Name: "Y")を属性サーバ（"P"）に送信する。これに応答して属性サーバ（"P"）は、照明機器（"Y"）のＩＰアドレスを表すメッセージｍ１９("Return IP address" Name: "Y" IP address: IPy")をスイッチ（"X"）に返す。なお、スイッチ（"X"）と属性サーバ（"P"）との間の全ての通信はＩＰｓｅｃで守られる。
【００７３】
（ステップＳ１０７：任意の通信）  
まず、図１８に示すように、ケルベロスのTGS_REQ/TGS_REP交換において、スイッチ（"X"）は、TGTxを用いて、照明機器（"Y"）とＫＩＮＫ交換を行うためのチケットを要求するメッセージｍ２０をケルベロスＫＤＣ（"K"）に送信する。その応答として、スイッチ（"X"）は、照明機器（"Y"）とＫＩＮＫ交換を行うためのチケットを表すメッセージｍ２１をケルベロスＫＤＣ（"K"）から取得する。
【００７４】
次に、図１９に示すように、ＫＩＮＫ交換において、スイッチ（"X"）は入力側SA[IPx←IPy, Sxy]を生成し、設定する。そして、ＫＩＮＫ交換に基づくメッセージｍ２２により照明機器（"Y"）にその情報を伝える。一方、照明機器（"Y"）はSA[IPx→IPy, Sxy]を出力側に設定する。さらに照明機器（"Y"）は入力側SA[IPx←IPy, Sxy]を生成し、設定する。そして、ＫＩＮＫ交換に基づくメッセージｍ２３によりスイッチ（"X"）にその情報を伝える。これに応じてスイッチ（"X"）はSA[IPx→IPy, Sxy]を設定する。以後、スイッチ（"X"）と照明機器（"Y"）との間の全ての通信はＩＰｓｅｃで守られる。
【００７５】
そして、図２０に示すようにスイッチ（"X"）と照明機器（"Y"）との間で任意のメッセージｍ２４を通信する。
【００７６】
以上説明した第２実施形態によっても、制御ネットワークに接続される機器の安全かつ自律的なセットアップを実現できる。また本発明は、ＩＰ化された既存の制御ネットワークとの共用、併存のために次のように応用することが好ましい。例えば、図２１に示すＢＡＣｎｅｔ（商標）への応用例や図２２に示すＭＯＤＢＵＳ  ＴＣＰ／ＩＰ（商標）への応用例のように、ＩＰ層の上位に独自の仮想的なネットワーク層が構築されたシステムに対して、これら図に示すようにＩＰｓｅｃをベースとした幾つかのプロトコル階層を設ける。なお、アプリケーション層において、本発明の実施のための機能的な拡張を行う。かかる機能は、例えば、識別子による通信相手の識別機能、自己情報の取得及び登録機能、通信相手の発見機能等である。
【図面の簡単な説明】
【００７７】
【図１】本発明の第１実施形態に係るネットワークシステムの構成例を示す図
【図２】本発明の第１実施形態に係る通信端末装置の概略構成を示すブロック図本発明の第１実施形態に係る制御ネットワークシステムに接続された通信端末装置の内部構成を示すブロック図
【図３】本発明の第１実施形態に係り、セットアップ（初期設定）を遂行するメッセージシーケンスを示す図
【図４】本発明の第１実施形態に係り、エンティティ間で通信を確立する際のメッセージシーケンスを示す図
【図５】本発明の第２実施形態に係る制御ネットワークシステムの構成を示す図
【図６】本発明の第２実施形態に係るメッセージシーケンス（スタートアップ段階）の概要を示す図
【図７】本発明の第２実施形態に係るメッセージシーケンス（ディスカバリ（発見）段階）の概要を示す図
【図８】ＤＨＣＰを用いたケルベロスＫＤＣの探索のためのメッセージ通信シーケンスを示す図
【図９】ケルベロスＫＤＣの認証のためのメッセージ通信シーケンスを示す図
【図１０】属性サーバの探索のためのメッセージ通信シーケンスの一部を示す図
【図１１】属性サーバの探索のためのメッセージ通信シーケンスの他の部分を示す図
【図１２】属性サーバの探索のためのメッセージ通信シーケンスの他の部分を示す図
【図１３】自己情報の登録のためのメッセージ通信シーケンスの一部を示す図
【図１４】自己情報の登録のためのメッセージ通信シーケンスの他の部分を示す図
【図１５】自己情報の登録のためのメッセージ通信シーケンスの他の部分を示す図
【図１６】スタートアップ情報の取得のためのメッセージ通信シーケンスを示す図
【図１７】相手アドレスの取得のためのメッセージ通信シーケンスを示す図
【図１８】任意の通信のためのメッセージ通信シーケンスの一部を示す図
【図１９】任意の通信のためのメッセージ通信シーケンスの他の部分を示す図
【図２０】任意の通信のためのメッセージ通信シーケンスの他の部分を示す図
【図２１】本発明のＢＡＣｎｅｔ（商標）への応用例に係るプロトコルスタックを示す図
【図２２】本発明のＭＯＤＢＵＳ  ＴＣＰ／ＩＰ（商標）への応用例に係るプロトコルスタックを示す図
【符号の説明】
【００７８】
１ａ…モニター、１ｂ…ロガー、２…認証サーバ（ＫＤＣ）、３…属性サーバ（ＰＳ）、４…制御ネットワーク、５，６…エンティティ（コントローラ）、８０…通信処理部、８１…サーバ発見部、８２…認証サーバアドレスレジスタ、８３…属性サーバアドレスレジスタ、８４…自己プロファイル格納メモリ、８５…通信相手情報レジスタ、８６…セキュリティパラメータテーブル
【図１】
2005135032.tif 000003
【図２】
2005135032.tif 000004
【図３】
2005135032.tif 000005
【図４】
2005135032.tif 000006
【図５】
2005135032.tif 000007
【図６】
2005135032.tif 000008
【図７】
2005135032.tif 000009
【図８】
2005135032.tif 000010
【図９】
2005135032.tif 000011
【図１０】
2005135032.tif 000012
【図１１】
2005135032.tif 000013
【図１２】
2005135032.tif 000014
【図１３】
2005135032.tif 000015
【図１４】
2005135032.tif 000016
【図１５】
2005135032.tif 000017
【図１６】
2005135032.tif 000018
【図１７】
2005135032.tif 000019
【図１８】
2005135032.tif 000020
【図１９】
2005135032.tif 000021
【図２０】
2005135032.tif 000022
【図２１】
2005135032.tif 000023
【図２２】
2005135032.tif 000024